Sicherheit trifft Barrierefreiheit: Authentifizierung, Sicherheitsfunktionen und Zeitlimits unter dem BFSG

Problem in der Praxis

Drei Muster tauchen in der Praxis immer wieder auf. Bot-Abwehr per Bilderrätsel oder verzerrtem Text sperrt blinde und sehbehinderte Menschen aus, wenn es keinen gleichwertigen anderen Weg gibt. Biometrie als einziger Faktor (etwa Gesichts- oder Fingerabdruckerkennung in einer Banking-App ohne Alternative) schließt Menschen aus, bei denen das Merkmal nicht oder nicht zuverlässig erfasst werden kann. Und harte Sitzungs- oder Transaktions-Timeouts brechen Vorgänge von Menschen ab, die mit Screenreader, Schaltersteuerung oder Sprachausgabe mehr Zeit brauchen. Dazu kommen Eingabesperren gegen Einfügen in Passwort- oder Code-Felder, die Passwortmanager und Hilfstechnologien aushebeln. In allen Fällen ist die Maßnahme sicherheitlich begründet, und in allen Fällen gibt es Gestaltungen, die Sicherheit und Barrierefreiheit zugleich erreichen.

CISO-Einordnung

Die rechtlichen Anknüpfungspunkte in der BFSGV:

• § 2 Nr. 2 und 3: Identifizierungsmethode und Sicherheitsfunktion als Begriffe; die Sicherheitsfunktion verweist auf § 2 Nr. 39 BSIG (in der Fassung vom 2.12.2025).
• § 6 Abs. 2 (Produkte): Nr. 10 Privatsphäre bei der Nutzung von Barrierefreiheitsfunktionen schützen; Nr. 11 Alternativen zur biometrischen Identifizierung und Steuerung anbieten; Nr. 12 Konsistenz wahren und ausreichend Zeit und eine flexible Zeitmenge für Interaktionen zur Verfügung stellen.
• § 12 Nr. 1 (Dienstleistungen): Produkte im Sinne des § 1 Abs. 2 BFSG (etwa Zahlungsterminals, Geldautomaten), die zur Erbringung einer Dienstleistung verwendet werden, müssen die Produktanforderungen erfüllen; über diese Produkte wirkt § 6 auch auf Dienstleister. Für Apps und Webseiten eines Dienstleisters gilt § 6 nicht unmittelbar; dort tragen § 12 Nr. 3 und die §§ 17, 19 die Anforderungen.
• § 17 Abs. 1 (Bankdienstleistungen): Identifizierungs- und Authentifizierungsmethoden (im Sinne von § 1 Abs. 23 ZAG), elektronische Signaturen, Sicherheitsfunktionen und Zahlungsdienste wahrnehmbar, bedienbar, verständlich und robust; § 17 Abs. 2: Informationen zur Funktionsweise höchstens auf Sprachniveau B2.
• § 19 Nr. 2 und 3 (elektronischer Geschäftsverkehr): Identifizierungs-, Authentifizierungs-, Sicherheits- und Zahlungsfunktionen sowie Identifizierungs- und Authentifizierungsmethoden, elektronische Signaturen und Zahlungsdienste wahrnehmbar, bedienbar, verständlich und robust.
• § 21 Abs. 8: bei Barrierefreiheitsfunktionen mindestens eine Bedienungsform, die die Privatsphäre wahrt.

Für Selbstbedienungsterminals kommt eine eigene Zeitpflicht hinzu: Sie müssen über mehr als einen sensorischen Kanal darauf hinweisen, wenn die Zeit für eine Antwort begrenzt ist, und die Verlängerung dieser Zeit ermöglichen (§ 7 Abs. 1 Nr. 3 und 4 BFSGV). Das gilt unmittelbar; ein Sicherheitszweck ersetzt keine Ausnahme nach §§ 16, 17 BFSG.

Die technische Referenz für Web und App liefert WCAG 2.2, ohne gesetzlich genannt zu sein (dazu bf-003). Drei Erfolgskriterien betreffen Sicherheitsabläufe unmittelbar; ihr Wortlaut, ihre Erfüllungswege und Ausnahmen sind beim W3C nachzulesen und werden hier nicht wiedergegeben:

• 3.3.8 Accessible Authentication (Minimum), Stufe AA: Gegenstand sind kognitive Funktionstests in Authentifizierungsschritten, etwa das Erinnern eines Passworts oder das Lösen eines Rätsels.
• 3.3.7 Redundant Entry, Stufe A: Gegenstand ist die erneute Eingabe bereits gemachter Angaben im selben Vorgang; das Kriterium kennt eine Ausnahme mit Sicherheitsbezug.
• 2.2.1 Timing Adjustable, Stufe A: Gegenstand sind Zeitlimits, die der Inhalt setzt.

Daraus ergeben sich Gestaltungsmuster, die Sicherheit nicht schwächen:

• Bot-Abwehr: unsichtbare oder risikobasierte Verfahren bevorzugen; wo ein sichtbarer Test bleibt, einen gleichwertigen alternativen Weg anbieten, der keinen kognitiven oder rein visuellen Test verlangt.
• Mehrfaktor-Authentifizierung: mehrere gleichwertige Faktoren anbieten (etwa Passkey, Sicherheitsschlüssel, App-Bestätigung, Einmalcode), so dass kein Faktor allein auf Sehen, Hören, Feinmotorik oder Biometrie angewiesen ist; Einfügen in Code- und Passwortfelder zulassen.
• Biometrie: als Komfortoption führen, nie als einzigen Weg. Für erfasste Produkte folgt das unmittelbar aus § 6 Abs. 2 Nr. 11 BFSGV; für Apps und Webseiten eines Dienstleisters ist es die naheliegende Auslegung der Pflicht, Authentifizierungsmethoden bedienbar zu gestalten (§§ 17, 19 BFSGV).
• Zeitlimits: bei Selbstbedienungsterminals Hinweis über mehr als einen Kanal und Verlängerung der Antwortzeit stets ermöglichen (§ 7 Abs. 1 Nr. 3 und 4 BFSGV); bei Web und App als bewährtes Muster vor Ablauf warnen und Verlängerung ermöglichen; andere Gestaltungen (etwa ein abschaltbares oder einstellbares Zeitlimit) gegen sämtliche Erfüllungswege und Ausnahmen des Kriteriums 2.2.1 im Original prüfen und die Bewertung dokumentieren.
• Hinweise und Fehlermeldungen: sicherheitsrelevante Meldungen (Sperre, Betrugsverdacht, Freigabeaufforderung) über mehr als einen Sinneskanal und verständlich formulieren; bei Banken gilt für Informationen zur Funktionsweise der Bankdienstleistung höchstens Sprachniveau B2 (§ 17 Abs. 2 BFSGV), und sicherheitsrelevante Hinweise daran auszurichten ist naheliegend.

Für Banken und Zahlungsdienstleister stehen diese Anforderungen neben den Vorgaben zur starken Kundenauthentifizierung; die BFSGV verweist selbst auf den Authentifizierungsbegriff des ZAG. Beide Regime lassen sich zugleich erfüllen, wenn die Faktorauswahl breit genug ist; die Einzelheiten der starken Kundenauthentifizierung sind nicht Gegenstand dieses Tracks.

Umsetzungsperspektive

• Inventar der Sicherheitsinteraktionen: alle Stellen erfassen, an denen Nutzer mit Sicherheitsmaßnahmen interagieren (Registrierung, Login, Wiederherstellung, Bot-Abwehr, Transaktionsfreigabe, Sitzungsablauf, Betrugswarnungen).
• Barrierefreiheit als Sicherheitsanforderung: in Sicherheitsarchitektur-Reviews und Bedrohungsanalysen die Frage aufnehmen, ob jede Maßnahme einen barrierefreien Weg hat.
• Faktorstrategie: mindestens zwei gleichwertige, unterschiedlich wahrgenommene Authentifizierungswege vorsehen und Passwortmanager sowie Einfügen unterstützen.
• Bot-Abwehr überprüfen: sichtbare Tests ohne Alternative ersetzen oder ergänzen.
• Zeitlimits begründen: je Limit dokumentieren, warum es nötig ist und ob eine Warnung mit Verlängerung möglich ist.
• Tests mit Hilfstechnologie: Sicherheitsabläufe mit Screenreader, Vergrößerung und Tastaturbedienung prüfen lassen, nicht nur die Inhaltsseiten.

Typische Fehler

1. Bilderrätsel oder Text-CAPTCHA ohne gleichwertige Alternative als einzige Bot-Abwehr.
2. Biometrie als einziger Weg zur Anmeldung oder Freigabe; bei erfassten Produkten entgegen § 6 Abs. 2 Nr. 11 BFSGV, bei Diensten ein Risiko für die Bedienbarkeit nach §§ 17, 19 BFSGV.
3. Einfügesperren in Passwort- und Codefeldern, die Passwortmanager und Hilfstechnologien blockieren.
4. Sitzungs- und Transaktions-Timeouts ohne Warnung und Verlängerung, auch wo der Sicherheitszweck sie zuließe.
5. Sicherheitsmeldungen nur farblich oder nur als Ton, nicht über einen zweiten Kanal.

Risiken und Trade-offs

Jede zusätzliche Alternative ist eine weitere Angriffsfläche: Ein barrierefreier Ausweichweg für die Bot-Abwehr darf nicht der Weg werden, den Bots nehmen. Der Ausgleich liegt in gleichwertigen statt schwächeren Alternativen: Ein Sicherheitsschlüssel oder Passkey ist für viele Nutzer zugleich barrierearm und phishingresistent. Bei Zeitlimits steht Sitzungsschutz gegen Nutzbarkeit; eine Warnung mit Verlängerung durch eine einfache Handlung erhält beides, ein hartes Limit ist nur dort vertretbar, wo die Verlängerung den Schutzzweck aufhebt. Die BFSGV kennt dafür keine eigene Sicherheitsausnahme; Erleichterungen bestehen nur über die dokumentierte grundlegende Veränderung oder unverhältnismäßige Belastung (§§ 16, 17 BFSG, dazu bf-005).

Entscheidungspunkte

• Hat jede Sicherheitsinteraktion einen barrierefreien Weg, und ist er gleich sicher?
• Ist Biometrie überall optional?
• Welche Zeitlimits sind sicherheitlich zwingend, und wo sind Warnung und Verlängerung möglich?
• Unterstützen Login und Freigabe Passwortmanager und Einfügen?
• Werden Sicherheitsabläufe mit Hilfstechnologien getestet, bevor sie live gehen?

Praktische Empfehlungen

1. Nehmen Sie Barrierefreiheit als Prüfpunkt in Sicherheitsarchitektur-Reviews und Freigaben von Authentifizierungsänderungen auf.
2. Bieten Sie mindestens zwei gleichwertige Authentifizierungswege an und bevorzugen Sie Verfahren, die zugleich phishingresistent und barrierearm sind.
3. Führen Sie Biometrie nur als Option und erlauben Sie Einfügen in Passwort- und Codefelder.
4. Ersetzen Sie sichtbare Bot-Tests ohne Alternative und dokumentieren Sie die Begründung jedes harten Zeitlimits.
5. Testen Sie Login, Wiederherstellung und Transaktionsfreigabe mit Screenreader und Tastatur.

Relevante Normreferenzen

• BFSGV: § 2 Nr. 2 und 3 (Identifizierungsmethode, Sicherheitsfunktion mit Verweis auf § 2 Nr. 39 BSIG), § 6 Abs. 2 Nr. 10 bis 12 (Privatsphäre, Alternativen zur Biometrie, Zeit), § 12 Nr. 1, § 17 (Bankdienstleistungen), § 19 (elektronischer Geschäftsverkehr), § 21 Abs. 8.
• Richtlinie (EU) 2019/882, Anhang I (Barrierefreiheitsanforderungen), umgesetzt durch die BFSGV.
• W3C WCAG 2.2: Erfolgskriterien 3.3.8, 3.3.7, 2.2.1 (Referenz, Wortlaut beim W3C).
• Zahlungsdiensteaufsichtsgesetz § 1 Abs. 23 (Authentifizierung) als Bezugsnorm des § 17 BFSGV.